Phishing là gì? Cách phòng chống tấn công Phishing hiệu quả

Phishing là một hình thức tấn công mạng nguy hiểm, có thể gây ra nhiều thiệt hại cho các cá nhân, tổ chức, hay doanh nghiệp. Cùng tìm hiểu Phishing là gì? Một số cách thức nhận biết và phòng chống tấn công Phishing qua website giả mạo hiệu quả.

Phishing là gì?

Phishing là gì? Phishing (Tấn công giả mạo) là hình thức tấn công mạng mà kẻ tấn công giả mạo thành một đơn vị uy tín để lừa đảo người dùng cung cấp thông tin cá nhân cho chúng.

Thông thường, tin tặc sẽ giả mạo thành ngân hàng, trang web giao dịch trực tuyến, ví điện tử, các công ty thẻ tín dụng để lừa người dùng chia sẻ các thông tin nhạy cảm như: tài khoản & mật khẩu đăng nhập, mật khẩu giao dịch, thẻ tín dụng và các thông tin quý giá khác.

Phương thức tấn công này thường được tin tặc thực hiện thông qua email và tin nhắn. Người dùng khi mở email và click vào đường link giả mạo sẽ được yêu cầu đăng nhập. Nếu “mắc câu”, tin tặc sẽ có được thông tin ngay tức khắc.

Phương thức phishing được biết đến lần đầu tiên vào năm 1987. Nguồn gốc của từ Phishing là sự kết hợp của 2 từ: fishing for information (câu thông tin) và phreaking (trò lừa đảo sử dụng điện thoại của người khác không trả phí). Do sự giống nhau giữa việc “câu cá” và “câu thông tin người dùng”, nên thuật ngữ Phishing ra đời.

Phishing hoạt động như thế nào?

Phishing tấn công bằng cách giả mạo một trang web hoặc một email đáng tin cậy, nhằm lừa đảo người dùng cung cấp thông tin nhạy cảm như tài khoản ngân hàng, mật khẩu hoặc thông tin cá nhân. Điều này thường được thực hiện bằng cách tạo ra một liên kết giống như một trang web thật và gửi đến người dùng thông qua email hoặc tin nhắn ngắn. Khi người dùng bấm vào liên kết, họ sẽ được đưa đến một trang web giả mạo và được yêu cầu cung cấp thông tin cá nhân như mật khẩu, số thẻ tín dụng hoặc thông tin tài khoản ngân hàng.

Khi người dùng truy cập vào trang web giả mạo và cung cấp thông tin cá nhân, kẻ tấn công có thể lấy được thông tin này và sử dụng để thực hiện các hoạt động bất hợp pháp. Phishing có thể được thực hiện thông qua email, tin nhắn văn bản, trang web giả mạo hoặc phần mềm độc hại.

Các phương thức tấn công Phishing

Có nhiều kỹ thuật mà tin tặc sử dụng để thực hiện một vụ tấn công Phishing.

Giả mạo email

Một trong những kỹ thuật cơ bản trong tấn công Phishing là giả mạo email. Tin tặc sẽ gửi email cho người dùng dưới danh nghĩa một đơn vị/tổ chức uy tín, dụ người dùng click vào đường link dẫn tới một website giả mạo và “mắc câu”.

Những email giả mạo thường rất giống với email chính chủ, chỉ khác một vài chi tiết nhỏ, khiến cho nhiều người dùng nhầm lẫn và trở thành nạn nhân của cuộc tấn công.

Để làm cho nội dung email giống thật nhất có thể, kẻ tấn công luôn cố gắng “ngụy trang” bằng nhiều yếu tố:

• Địa chỉ người gửi (VD: địa chỉ đúng là sales.congtyA@gmail.com thì địa chỉ giả mạo có thể là sale.congtyA@gmail.com)
• Chèn Logo chính thức của tổ chức để tăng độ tin cậy
• Thiết kế các cửa sổ pop-up giống y hệt bản gốc (cả về màu sắc, font chữ,…)
• Sử dụng kĩ thuật giả mạo đường dẫn (link) để lừa người dùng (VD: text là vietcombank.com.vnnhưng khi click vào lại điều hướng tới vietconbank.com.vn)
• Sử dụng hình ảnh thương hiệu của các tổ chức trong email giả mạo để tăng độ tin cậy.

Giả mạo Website

Thực chất, việc giả mạo website trong tấn công Phishing chỉ là làm giả một Landing page chứ không phải toàn bộ website. Trang được làm giả thường là trang đăng nhập để cướp thông tin của nạn nhân. Kỹ thuật làm giả website có một số đặc điểm sau:

• Thiết kế giống tới 99% so với website gốc
• Đường link (url) chỉ khác 1 ký tự duy nhất. VD: reddit.com (thật) vs redit.com (giả); google.com vs gugle.com; microsoft.com vs mircosoft.com hoặc verify-microsoft.com.
• Luôn có những thông điệp khuyến khích người dùng nhập thông tin cá nhân vào website (call-to-action).

Vượt qua các bộ lọc Phishing

Hiện nay, các nhà cung cấp dịch vụ email như Google hay Microsoft đều có những bộ lọc email spam/phishing để bảo vệ người dùng. Tuy nhiên những bộ lọc này hoạt động dựa trên việc kiểm tra văn bản (text) trong email để phát hiện xem email đó có phải phishing hay không. Hiểu được điều này, những kẻ tấn công đã cải tiến các chiến dịch tấn công Phishing lên một tầm cao mới. Chúng thường sử dụng ảnh hoặc video để truyền tải thông điệp lừa đảo thay vì dùng text như trước đây. Người dùng cần tuyệt đối cảnh giác với những nội dung này.

Cách nhận biết một trang web hay một email lừa đảo

Để làm cho một trang web hay một email thật nhất có thể, kẻ tấn công luôn cố gắng “ nguỵ trang” và kỹ thuật làm giả sẽ có một số đặc điểm sau:

• Địa chỉ website hoặc địa chỉ email sai chính tả.
• Email hoặc trang web yêu cầu “Xác thực tài khoản”.
• Vì các tin nhắn hoặc email lừa đảo thường được gửi đi với số lượng lớn nên thường sẽ không chứa họ và tên người nhận mà thay vào đó là cụm từ “Kính thưa quý khách hàng”.
• Tin nhắn, email xuất hiện yêu cầu “ Nhấp vào link bên dưới để truy cập tài khoản của bạn”.
• Một thông điệp mang tính cấp bách như “Nếu không phản hồi trong vòng … giờ, tài khoản của quý khách sẽ bị ngừng hoạt động”.

Cách phòng chống Phishing là gì?

Đối với cá nhân

Để tránh bị hacker sử dụng tấn công Phishing để lừa đảo trên Internet, thu thập dữ liệu cá nhân, thông tin nhạy cảm của bạn. Hãy lưu ý những điểm sau :

• Cảnh giác với các email có xu hướng thúc giục bạn nhập thông tin nhạy cảm. Cho dù lời kêu gọi có hấp dẫn thế nào đi chăng nữa thì vẫn nên kiểm tra kỹ càng. VD: bạn mới mua sắm online, đột nhiên có email từ ngân hàng tới đề nghị hoàn tiền cho bạn, chỉ cần nhập thông tin thẻ đã dùng để thanh toán.
• Không click vào bất kỳ đường link nào được gửi qua email nếu bạn không chắc chắn 100% an toàn.
• Không bao giờ gửi thông tin bí mật qua email.
• Không trả lời những thư lừa đảo. Những kẻ gian lận thường gửi cho bạn số điện thoại để bạn gọi cho họ vì mục đích kinh doanh. Họ sử dụng công nghệ Voice over Internet Protocol. Với công nghệ này, các cuộc gọi của họ không bao giờ có thể được truy tìm.
• Sử dụng Tường lửa và phần mềm diệt virus. Hãy nhớ luôn cập nhật phiên bản mới nhất của các phần mềm này.
• Hãy chuyển tiếp các thư rác đến spam@uce.gov. Bạn cũng có thể gửi email tới reportphishing@antiphishing.org
• Tổ chức này giúp chống lại các phishing khác.

Đối với các tổ chức, doanh nghiệp

Training cho nhân viên để tăng kiến thức sử dụng internet an toàn. Thường xuyên tổ chức các buổi tập huấn, diễn tập các tình huống giả mạo

Sử dụng dịch vụ G-suite dành cho doanh nghiệp, không nên sử dụng dịch vụ Gmail miễn phí vì dễ bị giả mạo.

Triển khai bộ lọc SPAM để phòng tránh thư rác, lừa đảo

Luôn cập nhật các phần mềm, ứng dụng để tránh các lỗ hổng bảo mật có thể bị kẻ tấn công lợi dụng.

Chủ động bảo mật các thông tin nhạy cảm, quan trọng. Xem thêm Giải pháp bảo mật thông tin cho doanh nghiệp.

Cách xác định một email lừa đảo

Thoạt nhìn, email giả mạo trông không khác gì “chính chủ”
Đây là một số cụm từ thường gặp nếu bạn nhận được một email hay tin nhắn là lừa đảo

“Xác thực tài khoản của bạn” / “Verify your account” – Các website hợp pháp sẽ không bao giớ bắt bạn gửi password, tên tài khoản hay bất cứ thông tin cá nhân nào của bạn qua email.

“Nếu bạn không phản hồi trong vòng 48h, tài khoản của bạn sẽ bị ngừng hoạt động” / “If you don’t respond within 48 hours, your account will be closed.” – Đây là một tin nhắn truyền tải một thông điệp cấp bách để bạn trả lời ngay mà không cần suy nghĩ

“Dear Valued Customer.” / “Kinh thưa quí khách hàng” – Những tin nhắn từ các email lừa đảo thường xuyên gửi đi với số lượng lớn và thường sẽ không chứa first name và last name của bạn.

“Nhấp chuột vào link bên dưới để truy cập đến tài khoản của bạn” / “Click the link below to gain access to your account.” –Các thông điệp HTML có thể chứa các liên kết hay các form nhập liệu mà bạn có thể điền các thông tin vào giống như khi các form trên một website.

Các công cụ hữu ích giúp phòng chống Phishing là gì?

SpoofGuard: là một plugin trình duyệt tương thích với Microsoft Internet Explorer. SpoofGuard đặt một “cảnh báo” trên thanh công cụ của trình duyệt. Nó sẽ chuyển từ màu xanh sang màu đỏ nếu bạn vô tình vào trang web giả mạo Phishing. Nếu bạn cố nhập các thông tin nhạy cảm vào một mẫu từ trang giả mạo, SpoofGuard sẽ lưu dữ liệu của bạn và cảnh báo bạn.

Anti-phishing Domain Advisor: bản chất là một toolbar (thanh công cụ) giúp cảnh báo những trang web lừa đảo, dựa theo dữ liệu của công ty Panda Security.

Netcraft Anti-phishing Extension: Netcraft là một đơn vị uy tín cung cấp các dịch vụ bảo mật bao gồm nhiều dịch vụ. Trong số đó, tiện ích mở rộng chống Phishing của Netcraft được đánh giá khá cao với nhiều tính năng cảnh báo thông minh.

Liên hệ với SEMTEK để tháo nút thắt cho website của bạn bằng giải pháp về Marketing!

SEMTEK Co,.LTD

🏡 Địa chỉ: 2N Cư Xá Phú Lâm D, Phường 10, Quận 6, TP.HCM
📧 Email: info@semtek.com.vn
☎️ Hotline: (+84)098.300.9285

Từ khóa:

• Social Engineering là gì
• Pretexting là gì
• Pharming là gì
• Spear Phishing là gì
• Ransomware là gì
• Vishing là gì

Nội dung liên quan:

• Retailer là gì? Khác biệt giữa Wholesaler, Distributor và Retailer
• Facebook Marketplace là gì? 4 bước bán hàng trên Facebook Marketplace
• Doanh nghiệp là gì? Các loại hình doanh nghiệp phổ biến nhất hiện nay